Windows DNS, un 9,8 sense autenticar: el que converteix un error en cuc no és l'error, és la teva xarxa

Agafa un portàtil, seu a la wifi de convidats de la teva oficina i llança un nslookup contra la IP del teu controlador de domini. Si et respon, la resta d'aquest article va amb tu, i cap dels 972 pedaços de dimarts no arregla això.

Microsoft va publicar el 8 de setembre la tanda de pedaços més gran de la seva història, i no hi ha acord sobre quants són. La Zero Day Initiative compta 972 CVE de Microsoft i 114 de crítics; CrowdStrike dona 972 i 113; Tenable titula amb 964; bona part de la premsa diu 973 o 974. Un dels repassos explica el ball: «depenent de com comptin els investigadors els errors externs i els de Chromium, Microsoft va corregir entre 966 i 997 CVE en aquesta actualització». Cap d'aquestes xifres no et diu què has de fer dijous al matí.

L'error de què tothom parla

CVE-2026-69730 és una execució remota de codi al servidor DNS de Windows, crítica, CVSS 9,8, un ús després d'alliberar segons el desglossament de Talos. Un atacant sense autenticar envia un paquet manipulat al servei DNS i executa codi a la màquina, sense que ningú faci clic enlloc. Dustin Childs, de la Zero Day Initiative, el va despatxar com «el successor espiritual de SigRed», i hi va afegir: «fa anys que no veiem un cuc global, però amb un error de DNS fent de successor espiritual de SigRed, aquesta realitat podria canviar de pressa».

Convé fixar l'abast abans que qualli el pànic per l'inventari: això és el rol de servidor DNS, el que resol noms per als altres, no el client DNS que porta qualsevol Windows. Segons els repassos publicats, Microsoft llista Windows Server del 2012 al 2025 —Server Core inclòs— més Windows 10 a les versions 1607 i 1809, i Windows 11 no hi apareix. Aquest detall de les dues versions client, que són les branques LTSB i LTSC, no el sabem explicar del tot: si el rol només existeix a Server, no queda clar per què hi apareixen. Donem la llista com de segona mà —la fitxa del MSRC es renderitza amb JavaScript i no la vam poder llegir— i recomanem comprovar-la a la fitxa abans de fixar l'abast.

I no és un error de DNS. En són uns quants. Dels vint que Childs marca com a propagables, tres són del servidor DNS: el 69730, el 69858 i el 72987. Talos llista a més el 69813, el 69827 i el 77505, tots execució de codi amb CVSS 8,1. Qui vagi dijous a aplicar el pedaç de «l'error de DNS» se'n trobarà mitja dotzena.

A la teva xarxa, «el servidor DNS» és el controlador de domini

L'anàlisi de CrowdStrike ho diu sense embuts: «a la majoria d'entorns d'Active Directory, el DNS corre als mateixos controladors de domini i no en infraestructura dedicada», de manera que «un exploit reeixit contra un servidor DNS integrat a AD pot lliurar execució de codi en un controlador de domini». I apunten l'historial: errors semblants del servei DNS «han atret històricament atenció ràpida tant d'operadors de ransomware com d'actors estatals, precisament per aquest patró de col·locació».

A l'inventari d'una empresa de cinquanta persones això vol dir que la màquina vulnerable és la mateixa que guarda les contrasenyes de tothom. També és la que ningú no vol reiniciar: s'actualitza l'última precisament perquè és la que més fa mal si no torna.

Els vint propagables no són una llista. En són dues

Primer, l'atribució, perquè s'està citant malament per aquí: «propagable per un cuc» no és una etiqueta de Microsoft. És el recompte personal de Childs, i ho diu amb aquestes paraules: «que on són els errors propagables?, preguntaràs. Amb tota franquesa, n'hi ha massa per destacar-ne un. En compto vint de pedaços diferents que es podrien classificar tots com a propagables». En cadascun, «un atacant remot i sense autenticar podria aconseguir execució de codi arbitrari als sistemes afectats sense interacció de l'usuari».

Aquests vint CVE es reparteixen en tretze components: servidor DHCP, Active Directory Domain Services, RMCAST, Message Queuing, RRAS, NFS, servidor DNS, client SMB, IP Helper, Netlogon, Internet Connection Sharing, SSTP i Failover Cluster. Uns quants repassos publiquen una versió retallada d'aquesta llista amb un «i altres» al final, i aquest «i altres» és justament on hi ha el que interessa, perquè els tretze components no es comporten igual. Es parteixen en dos grups que demanen feines diferents, i aquesta separació és lectura nostra, no de les fonts.

Grup u: superfície irreductible. Servidor DNS (tres CVE), servidor DHCP (dos), Netlogon (un) i Active Directory Domain Services (un). Set dels vint. Aquests són els serveis que un lloc de treball unit al domini ha de poder abastar per funcionar: sense DNS no resol, sense Netlogon no inicia sessió, sense DHCP no té ni adreça. Aquí la segmentació no et salva del lloc de treball. Si talles el 53 del controlador als portàtils, deixes de tenir domini a la primera renovació de tiquets. L'única cosa que es pot fer amb aquest grup és actualitzar de pressa i controlar quins altres segments hi arriben.

Grup dos: rols que algú va instal·lar. RMCAST (tres CVE), Message Queuing (dos), Failover Cluster (dos), RRAS, NFS, Internet Connection Sharing i SSTP (un cadascun). Onze dels vint, més de la meitat. Cap d'aquests no ve actiu de fàbrica en un Windows Server acabat d'instal·lar. El multicast fiable de RMCAST cal si algú va muntar PGM; NFS existeix per parlar amb Unix o amb un magatzem d'ESXi; RRAS és encaminament i VPN; SSTP és un túnel; Message Queuing és la lliçó de QueueJumper el 2023, quan mig món va descobrir que tenia MSMQ instal·lat per un producte de tercers que el va arrossegar. Aquests onze CVE només són propagables allà on algú va encendre el rol i se li va oblidar.

En queden dos que no entren en cap dels dos grups, i dir que sí seria arrodonir a costa de la veritat. El client SMB s'explota a l'inrevés: no és un servei que el portàtil abasti al controlador, és codi al portàtil, i qui ataca és el servidor maliciós que respon alguna cosa manipulada a una màquina que s'hi va connectar. I IP Helper tampoc no hi encaixa: iphlpsvc corre per defecte a tots els Windows i gestiona túnels IPv6 —Teredo, 6to4, ISATAP—, així que no és un rol opcional ni un servei del controlador, és una cosa que ja tens encesa a tot arreu sense haver-la demanat.

La conclusió pràctica del repartiment és que les dues meitats es gestionen amb eines diferents. La irreductible es gestiona amb ordre d'actualització i amb qui arriba des d'on, perquè no la pots apagar. L'altra es gestiona desinstal·lant, que és gratis i permanent: un rol que no hi és no apareix a la llista de l'any que ve. I la pregunta que gairebé ningú no sap respondre de memòria no és quin dels 972 pedaços li toca, sinó quin d'aquests set rols opcionals té encès a cada servidor. És la mateixa idea que explicàvem a no són errors vells, són classes d'error velles, aplicada a l'inventari en comptes del codi.

D'aquí surt la resposta a la frase que més vegades hem sentit aquesta setmana: «però nosaltres no tenim el DNS publicat a internet». Correcte, i no et salva. Un cuc intern no entra pel tallafocs perimetral. Entra al portàtil d'algú que va obrir el que no havia d'obrir, i aquest portàtil té permís, per disseny, per parlar amb el port 53 del controlador de domini. La superfície que compta aquí és la que veu la primera màquina que caigui.

El que no et direm: que ve un cuc

SigRed, la referència que tothom fa servir, va ser CVE-2020-1350: un 10,0 al servidor DNS de Windows, juliol de 2020, disset anys latent al codi, amb una mitigació per registre per a qui no pogués actualitzar a temps —TcpReceivePacketSize a 0xFF00 sota la clau de paràmetres del servei DNS, documentada al KB4569509—. Aquell juliol es va dir exactament el que s'està dient aquesta setmana. El cuc global no va arribar.

A 9 de setembre, quan escrivim això, CVE-2026-69730 no figura al catàleg KEV de CISA i no hem trobat prova de concepte pública. El que sí que hi ha, i seria trampós callar-ho al paràgraf on presumim de prudència, és que Microsoft el classifica com a «més probable que s'exploti». Això és una predicció, no una observació, però és la predicció de qui ha vist el codi. A l'altre platet, un dels repassos del mes compta 58 errors amb aquesta mateixa etiqueta i hi afegeix que «no hem vist un repunt correlatiu d'exploits actius, encara». Tampoc no hem verificat si Microsoft va publicar cap mitigació alternativa per a aquest cas; els repassos que vam llegir no l'esmenten.

Val la pena mirar a més què s'està explotant de debò aquest mes, perquè no és el 9,8. Són CVE-2026-81963, a la pila de Windows Update, i CVE-2026-85880, a la crida a procediment local avançat (ALPC): dues elevacions de privilegis amb CVSS 7,8 que requereixen accés local i serveixen per pujar a SYSTEM després d'haver entrat. De la primera apunta Satnam Narang, de Tenable, que és la primera de set errors d'elevació a la pila de Windows Update des del 2022 que s'explota com a dia zero; el segon el van reportar investigadors externs, entre ells Proofpoint. El número que espanta i el número que algú està fent servir contra algú rarament coincideixen, i d'això anava el titular no basta per decidir.

Aleshores, per què moure fitxa amb el de DNS? No pel cuc, sinó per la frase curta: execució de codi sense autenticar en un controlador de domini.

Què faríem aquesta setmana, en ordre

1. Comprovar qui arriba al 53, des d'on no hauria de fer-ho. Vint minuts, i és el que dona els disgustos. Agafa un portàtil a la wifi de convidats, un altre al rang de la VPN i alguna cosa a la VLAN d'impressores o càmeres si en tens. Cal provar els dos transports, perquè no són intercanviables: Test-NetConnection <IP-del-DC> -Port 53 comprova TCP, que és el camí de la classe d'error de SigRed —d'aquí que la seva mitigació fos limitar la mida de paquet TCP—, mentre que les consultes normals van per UDP, i això es prova amb Resolve-DnsName -Server <IP-del-DC> exemple.com o un nslookup apuntant al controlador. Un tallafocs pot deixar passar UDP i bloquejar TCP, així que quedar-se només amb la primera ordre et torna un negatiu que no significa res. Si la wifi de convidats resol contra el teu controlador de domini, ja tens la troballa del dia.

2. Saber quines màquines tenen el rol, no quines et penses que el tenen. Get-WindowsFeature DNS a cada servidor, o directament sobre tots alhora amb un Invoke-Command alimentat per Get-ADComputer -Filter {OperatingSystem -like "*Server*"}. I ja que hi passes per tots, treu en la mateixa volta els set rols del grup dos: NFS, RRAS, SSTP, Message Queuing, Failover Cluster, ICS i el multicast de RMCAST. Gairebé sempre hi apareixen els controladors de domini i, amb una freqüència que sorprèn, un servidor membre que algú va muntar per a una prova el 2019 i que continua resolent.

3. Segmentar el que sí que es pot segmentar. Als llocs de treball no els tallaràs el DNS, el Netlogon ni l'SMB del controlador; aquesta part de la superfície és irreductible mentre facis servir Active Directory. El que sobra del tot és la resta: convidats, impressores, càmeres, domòtica, el pool de la VPN de proveïdors. Cap no necessita parlar amb el controlador de domini i són justament els segments amb més màquines que ningú no actualitza. Treure aquests orígens no arregla el CVE. Redueix el nombre de llocs des dels quals es pot llançar.

4. Actualitzar els controladors primer, i amb criteri. Això no és heterodox: és el que Microsoft ha recomanat sempre que un error afecta el controlador, i el que gairebé ningú no fa. A Active Directory no existeix «el secundari» —des de Windows 2000 tots els controladors són iguals i el que hi ha són rols FSMO—, així que la seqüència útil és: mira on són amb netdom query fsmo, comença per un controlador que no en tingui cap, verifica amb repadmin /replsummary que la replicació continua neta i que el servei DNS respon, i deixa l'emulador de PDC per al final.

I un advertiment que ha d'anar al costat d'aquest consell, perquè si no l'estaríem empenyent a un problema pitjor que el CVE: en un controlador de domini, restaurar la instantània de la màquina virtual no és un pla de tornada enrere. Revertir un controlador provoca un USN rollback que deixa la replicació trencada de manera silenciosa, tret que l'hipervisor admeti VM-GenerationID i es donin les condicions perquè funcioni. El rollback d'un controlador és desinstal·lar l'actualització, o promocionar-ne un altre i degradar l'afectat. Amb això no s'improvisa a les onze de la nit.

La por d'actualitzar el controlador no és irracional, per cert: els pedaços trenquen coses, i ho vam explicar amb nom i cognoms quan un pedaç d'agost va trencar la impressió en aplicacions WPF. Aquesta por és el mecanisme que produeix les medianes de què parlàvem a la IA troba el dia zero i tu trigues 43 dies. La resposta no és deixar d'actualitzar, és tenir escrit el procediment de tornada enrere i qui l'executa fora d'horari.

5. Mirar què més carrega aquesta mateixa màquina. A moltes pimes el controlador de domini porta DNS i DHCP, que són dos dels tretze components de la llista a la mateixa màquina. I si els teus «dos controladors» són dues màquines virtuals al mateix amfitrió, no en tens dos: en tens un amb dos noms. Cap de les dues coses no s'arregla aquesta setmana, però convé anotar-les avui per quan toqui decidir on va el pròxim servidor.

Quan això no va amb tu

Si tens quinze portàtils, cap servidor Windows, la identitat a Microsoft 365 i el DNS el dona l'encaminador de l'operador, res d'aquest article no va amb tu. No hi ha rol de servidor DNS, no hi ha controlador de domini, i la llista dels vint no descriu la teva xarxa perquè la teva xarxa no obliga a res d'això. Actualitza els Windows com qualsevol mes i dedica la tarda a una altra cosa.

Si en canvi tens domini, servidors de fitxers, impressores a la mateixa VLAN que la gent i una wifi de convidats que ningú no ha tornat a mirar des que es va posar, la feina d'aquest mes no és llegir-te les 972 fitxes. És una tarda d'inventari i una tarda de regles. A xarxes i comunicacions això és literalment el que fem: mirar qui pot parlar amb qui i treure del mig el que no cal que hi sigui. I continua valent el mes que no surt cap 9,8.

Nota de fonts

Del repàs The September 2026 Security Update Review de la Zero Day Initiative, signat per Dustin Childs, surten: el recompte de 972 CVE de Microsoft i 114 de crítics; la cita literal sobre els vint pedaços propagables i la frase sobre l'atacant remot sense autenticar; la relació completa d'aquests vint CVE amb el seu component, de la qual surt el repartiment en tretze components que fem servir a l'article (DHCP 69510 i 72979; Active Directory DS 69524; RMCAST 69530, 78449 i 78450; Message Queuing 69579 i 83997; RRAS 69590; NFS ONCRPC XDR 69595; servidor DNS 69730, 69858 i 72987; client SMB 72936; IP Helper 72981; Netlogon 72982; ICS 72983; SSTP 73009; Failover Cluster 73010 i 78444); i la descripció de CVE-2026-69730 amb el seu CVSS 9,8 i la referència a SigRed. L'agrupació d'aquests tretze components en «superfície irreductible» i «rols que algú va instal·lar», i la lectura que la primera es gestiona actualitzant i la segona desinstal·lant, són NOSTRES i no de cap de les fonts citades. Uns quants repassos publiquen una versió abreujada de la llista de components acabada en «i altres»; nosaltres vam donar aquesta versió curta per completa en un primer esborrany i el fact-check intern ho va corregir. De la cobertura de Help Net Security surten les cites de Childs sobre el successor espiritual de SigRed i el cuc global, l'atribució a Satnam Narang (Tenable) que CVE-2026-81963 és el primer de set errors d'elevació a la pila de Windows Update des del 2022 explotat com a dia zero, i la participació d'investigadors de Proofpoint en el report de CVE-2026-85880; no hem verificat la llista completa de crèdits d'aquest CVE, per això diem «entre ells». De l'anàlisi de CrowdStrike surten el recompte alternatiu de 972 i 113 de crítics i les tres frases sobre la col·locació del DNS als controladors de domini. Del resum de Security Affairs surt la frase sobre el rang de 966 a 997 CVE segons com es comptin els errors externs i els de Chromium, el recompte de 58 errors etiquetats per Microsoft com a «més probable que s'explotin» i l'observació que no s'ha vist un repunt correlatiu d'explotació activa. Del desglossament de Cisco Talos surten la classificació de CVE-2026-69730 com a «més probable que s'exploti», que és un ús després d'alliberar, i els altres CVE del servidor DNS amb CVSS 8,1 (69813, 69827, 69858, 72987 i 77505). La llista de versions afectades prové dels recopilatoris públics i NO està verificada a la fitxa del MSRC, que es renderitza amb JavaScript i que no vam poder llegir; l'anomalia que hi apareguin Windows 10 1607 i 1809 la deixem declarada com una cosa que no sabem explicar. Les dades de SigRed (CVE-2020-1350, CVSS 10,0, juliol de 2020, disset anys al codi, TcpReceivePacketSize a 0xFF00, KB4569509) provenen de la documentació de Microsoft i de les anàlisis publicades aleshores; QueueJumper és CVE-2023-21554. Que a 9 de setembre de 2026 CVE-2026-69730 no figura al catàleg KEV de CISA i que no vam trobar prova de concepte pública és una comprovació nostra en aquesta data, no una garantia. L'avís sobre l'USN rollback en revertir instantànies d'un controlador de domini i el comportament de VM-GenerationID són de la documentació d'Active Directory de Microsoft. Les cites en castellà i català són traducció nostra de l'original anglès. Les ordres són les estàndard de Windows Server i no substitueixen la comprovació al teu entorn. La fotografia de portada és de domini públic.